| CVE | Vendor | Producto | Severidad | VAfectadas | Exploit |
|---|---|---|---|---|---|
| CVE-2024-8517 | SPIP | SPIP | ALTA | No especificadas, probablemente versiones actuales hasta que se publique parche | Sí |
| CVE-2021-23337 | lodash | lodash | ALTA | Versiones afectadas con manejo inadecuado de generación de código (no especificadas) | Sí |
| CVE-2026-115806 | WordPress Plugin Authors | Prime Mover – Backup and Migration plugin para WordPress | CRITICAL (9.8) | Todas las versiones hasta e incluyendo la 2.2.1 | Sí |
| CVE-2026-110956 | asVereinbase | Plugin WordPress asVereinbase | CRÍTICA (9.8) | versiones anteriores a la 1.1.8 | Sí |
| CVE-2026-111402 | Tribulant Software | Newsletters Lite | CRITICAL (9.3) | desde n | Sí |
| CVE-2026-112866 | WPFactory | Product Filter by WBW (plugin de WordPress) | CRÍTICA (9.3) | desde versiones iniciales hasta la 3.4.6 | Sí |
| CVE-2026-114196 | paytiumsupport | Paytium | CRITICAL (9.8) | Desde n | Sí |
| CVE-2026-94075 | Tribulant Software | Newsletters – plugin Newsletters-lite para WordPress | CRITICAL (9.8) | Desde versiones iniciales hasta 4.18.1 | Sí |
| CVE-2026-116014 | open62541 | open62541 | CRITICAL (9.2) | Desde la 1.5.0 hasta antes de la 1.5.7 | Sí |
| CVE-2026-115932 | Postiz | Postiz (plataforma de publicación de posts) | CRITICAL (9.6) | Todas las versiones con registro abierto por defecto (no especificadas con fecha límite) | Sí |
| CVE-2026-115557 | Python Software Foundation | Módulo ssl de Python | CRÍTICA (9.4) | Todas las versiones afectadas que usan módulo ssl sin protección explícita ante certificados comprometidos | Sí |
| CVE-2026-115933 | Postiz | Sistema de gestión de tokens de sesión, invitación y restablecimiento de contraseña | CRITICAL (9.9) | No especificado – afecta al sistema antes de parche | Sí |
| CVE-2026-114820 | Oracle | Oracle Java SE, Oracle GraalVM para JDK, Oracle GraalVM Enterprise Edition | CRÍTICA (9.1) | Oracle Java SE: 8u511-b32, 8u511-perf-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2, 27.0.1.0.2; GraalVM para JDK: 17.0.21.0.2, 21.0.13.0.2; GraalVM Enterprise: 21.3.20.0.2 | Sí |
| CVE-2026-115995 | Unitree Robotics | Unitree Go2 | CRITICAL (9.4) | versiones hasta 1.1.11.4 inclusive | Sí |
| CVE | CVE-2024-8517 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 25 de octubre de 2026 |
| Vendor | SPIP |
| Producto | SPIP |
| Versiones | No especificadas, probablemente versiones actuales hasta que se publique parche |
| Exploit Públicos | Sí, ya se está explotando activamente |
| Referencia | Vulncheck CVE-2024-8517 |
| Descripción | Vulnerabilidad de Control Externo del Nombre o la Ruta del Archivo en SPIP que permite a atacantes manipular nombres o rutas de archivo externamente, lo que podría derivar en acceso no autorizado a archivos o ejecución remota de código. |
| Estrategia | Aplicar inmediatamente los parches oficiales de SPIP y restringir el acceso a las funcionalidades que permiten la manipulación de nombres o rutas de archivos. Implementar controles adicionales para validar y sanitizar rutas de archivo. Monitorizar activamente los sistemas para detectar intentos de explotación y fortalecer permisos de archivos y directorios. |
| CVE | CVE-2021-23337 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 25 Octubre 2026, 04:30 (UTC) |
| Vendor | lodash |
| Producto | lodash |
| Versiones | Versiones afectadas con manejo inadecuado de generación de código (no especificadas) |
| Exploit Públicos | Sí, explotación confirmada en libertad |
| Referencia | Detalles Vulnerabilidad |
| Descripción | Vulnerabilidad de Control Inadecuado en la Generación de Código (‘Inyección de Código’) en lodash que permite a un atacante ejecutar código arbitrario debido al manejo incorrecto en la generación de código. |
| Estrategia | Actualizar lodash a la versión parcheada con corrección oficial. Implementar monitoreo de comportamiento anómalo y restringir la ejecución de código dinámico en sistemas donde lodash es utilizado. Priorizar esta actualización dada la presencia de exploits activos en entornos reales. |
—
*****
He insertado el registro en Supabase con los valores detallados.
| CVE | CVE-2026-115806 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 25 octubre 2026, 04:30 (UTC) |
| Vendor | WordPress Plugin Authors |
| Producto | Prime Mover – Backup and Migration plugin para WordPress |
| Versiones | Todas las versiones hasta e incluyendo la 2.2.1 |
| Exploit Públicos | Sí, mecanismos de explotación confirmados |
| Referencia | Link al código vulnerable |
| Descripción |
El plugin Prime Mover para WordPress es vulnerable a una inyección de objetos PHP (PHP Object Injection) debido a la deserialización insegura de datos no confiables en la rutina de búsqueda y reemplazo de migración (recursiveUnserializeReplace()). Un atacante no autenticado puede almacenar un objeto serializado codificado en base64 en wp_comments.comment_content a través del endpoint estándar de envío de comentarios (wp-comments-post.php). Cuando un administrador realiza una exportación o restauración con Prime Mover, el valor es decodificado y deserializado sin restricciones de clases permitidas. La explotación es posible sin plugins o temas adicionales, pues el propio plugin incluye la cadena de ejecución (POP) en su librería Freemius.
|
| Estrategia | Actualizar inmediatamente el plugin Prime Mover a una versión parcheada que corrija la deserialización insegura. Mientras tanto, restringir el uso del envío de comentarios en sitios críticos y auditar cualquier exportación o restauración reciente. Implementar controles adicionales para validar y sanitizar entradas de comentarios y monitorizar intentos sospechosos de inyección. Priorizar esta vulnerabilidad por su facilidad de explotación remota y la capacidad de comprometer sistemas administrativos completos. |
—
**Insertando registro en Supabase con los datos del CVE-2026-115806**
| CVE | CVE-2026-110956 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 25 de octubre de 2026 |
| Vendor | asVereinbase |
| Producto | Plugin WordPress asVereinbase |
| Versiones | versiones anteriores a la 1.1.8 |
| Exploit Públicos | Sí |
| Referencia | WPScan Advisory |
| Descripción | El plugin asVereinbase para WordPress en versiones anteriores a la 1.1.8 no requiere una contraseña válida ni un segundo factor genuino para autenticar a un usuario, ya que trata un valor almacenado vacío como una coincidencia válida. Esto permite a un atacante no autenticado iniciar sesión como cualquier usuario, incluyendo administradores. |
| Estrategia | Actualizar inmediatamente a la versión 1.1.8 o superior del plugin asVereinbase para cerrar esta brecha de autenticación crítica. Revisar los sistemas para detectar posibles accesos no autorizados, reforzar controles de acceso y monitorizar la actividad de usuarios administrativos para identificar cualquier comportamiento anómalo. |
—
*He insertado el registro en Supabase con los datos proporcionados para su seguimiento y consulta.*
| CVE | CVE-2026-111402 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-25T04:30:55 (UTC) |
| Vendor | Tribulant Software |
| Producto | Newsletters Lite |
| Versiones | desde n/a hasta 4.18.1 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de falta de neutralización adecuada de elementos especiales usados en comandos SQL (‘SQL Injection’) en Tribulant Software Newsletters Lite permite la inyección SQL. Esta vulnerabilidad afecta a Newsletters Lite: desde n/a hasta la versión 4.18.1.
Esto puede ser explotado por un atacante remoto mediante la manipulación de parámetros que se usan en consultas SQL, permitiéndole ejecutar código arbitrario en la base de datos, robar, modificar o eliminar información crítica, comprometiendo seriamente la seguridad de la aplicación y datos corporativos. |
| Estrategia | Es imprescindible actualizar inmediatamente a una versión corregida superior a la 4.18.1 o aplicar el parche oficial. Además, fortalecer las políticas de validación y sanitización de entradas SQL en las aplicaciones conectadas, auditar logs por posibles indicios de explotación activa y restringir accesos a bases de datos sensibles. |
| CVE | CVE-2026-112866 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 25 de octubre de 2026, 04:30 (UTC) |
| Vendor | WPFactory |
| Producto | Product Filter by WBW (plugin de WordPress) |
| Versiones | desde versiones iniciales hasta la 3.4.6 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de Neutralización Incorrecta de Elementos Especiales usados en un comando SQL (‘inyección SQL’) en WPFactory Product Filter by WBW woo-product-filter que permite una inyección SQL ciega (Blind SQL Injection). Este problema afecta a Product Filter by WBW: desde versiones iniciales hasta la 3.4.6.
Esta vulnerabilidad puede ser explotada inyectando comandos SQL maliciosos a través de parámetros manipulados, lo que permite a un atacante ejecutar consultas arbitrarias en la base de datos, obtener información sensible, modificar datos o incluso tomar control del sistema subyacente de forma remota sin interacción del usuario final. |
| Estrategia | Actualizar inmediatamente el plugin Product Filter by WBW a una versión corregida posterior a la 3.4.6. Revisar y monitorizar acceso a la base de datos para detectar patrones anómalos de consulta. Implementar mecanismos de validación y saneamiento estrictos de todas las entradas externas y restringir acceso administrativo a bases de datos y sistemas asociados para mitigar explotación activa. |
*****
| Vendor | WPFactory |
| Producto afectado | Product Filter by WBW (plugin de WordPress) |
| Versiones afectadas | Versiones iniciales hasta la 3.4.6 |
| Exploit públicos | Sí |
| CVE | CVE-2026-114196 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 25-10-2026 04:30 UTC |
| Vendor | paytiumsupport |
| Producto | Paytium |
| Versiones | Desde n/a hasta 5.0.5 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de deserialización de datos no confiables en el plugin Paytium de paytiumsupport que permite la inyección de objetos PHP. Esta vulnerabilidad afecta a Paytium desde una versión no especificada hasta la 5.0.5.
Permite a un atacante inyectar objetos maliciosos mediante datos serializados manipulados, lo que puede derivar en ejecución remota de código o escalada de privilegios dentro del entorno donde se ejecuta el plugin. |
| Estrategia | Actualizar inmediatamente el plugin Paytium a una versión superior a 5.0.5 que corrija esta vulnerabilidad. Además, restringir la carga y deserialización de datos no confiables, aplicar validaciones estrictas sobre entradas y monitorizar indicadores de compromiso relacionados con esta vulnerabilidad para detectar posibles explotaciones activas. |
| CVE | CVE-2026-94075 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 25 de octubre de 2026 |
| Vendor | Tribulant Software |
| Producto | Newsletters – plugin Newsletters-lite para WordPress |
| Versiones | Desde versiones iniciales hasta 4.18.1 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory Newsletters-lite |
| Descripción | Vulnerabilidad de Deserialización de Datos No Confiables en el plugin Newsletters-lite de Tribulant Software para WordPress que permite la Inyección de Objetos PHP. Afecta a la versión 4.18.1 y anteriores.
Un atacante puede enviar datos especialmente diseñados que se deserializan inseguramente, lo que permite la ejecución remota de código o la manipulación de la aplicación a través de la inyección de objetos maliciosos, comprometiendo completamente la integridad y seguridad del sistema afectado. |
| Estrategia | Actualizar inmediatamente a la versión parcheada superior a la 4.18.1 cuando esté disponible. Mientras tanto, restringir la capacidad de usuarios no confiables para enviar datos que puedan ser deserializados, implementar controles de integridad y monitorear indicadores de compromiso relacionados con explotación de deserialización. Deshabilitar temporalmente el plugin puede ser necesario si el parche no está disponible, dada la alta peligrosidad del exploit. |
| CVE | CVE-2026-116014 |
| Severidad | CRITICAL (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 25/10/2026 04:30 UTC |
| Vendor | open62541 |
| Producto | open62541 |
| Versiones | Desde la 1.5.0 hasta antes de la 1.5.7 |
| Exploit Públicos | Sí |
| Referencia | open62541 GitHub – Línea específica |
| Descripción | open62541 versiones 1.5.0 hasta antes de 1.5.7 contienen un desbordamiento de entero en la función UA_DataType_fromStructureDescription() que provoca un overflow en el campo memSize de 16 bits para definiciones de estructura personalizadas grandes. Un servidor OPC UA malicioso puede proporcionar definiciones DataType vía UA_Client_getRemoteDataTypes(), haciendo que decodeBinaryStructure() desborde el heap, causando el fallo o incluso ejecución remota de código. |
| Estrategia | Actualizar inmediatamente a open62541 versión 1.5.7 o superior donde se corrige el desbordamiento. En entornos críticos, limitar la conexión a servidores OPC UA de confianza y monitorizar accesos inusuales. Desplegar mecanismos de detección de anomalías en tráfico OPC UA y validar integridad de definiciones remotas para evitar explotación activa. |
| CVE | CVE-2026-115932 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 25 de octubre de 2026, 04:30 UTC |
| Vendor | Postiz |
| Producto | Postiz (plataforma de publicación de posts) |
| Versiones | Todas las versiones con registro abierto por defecto (no especificadas con fecha límite) |
| Exploit Públicos | Sí |
| Referencia | PSA-2026-E9AHFV</td |
| Descripción | Cuando se publica un post, Postiz trata una ruta de medios que no es una dirección web como un archivo en el disco del servidor, pero no verifica que el archivo esté dentro del directorio de subida. Un usuario registrado puede almacenar una ruta de medios manipulada en un post, evadir las comprobaciones restrictivas y hacer que el proceso de publicación lea un archivo arbitrario y lo envíe como un archivo adjunto a un servidor Discord controlado por el atacante. Existen dos vías adicionales para lecturas no restringidas: una confirma la existencia del archivo y puede agotar la memoria del backend, y otra entrega el archivo similar a la ruta principal. El registro libre por defecto facilita el ataque sin cuenta previa. |
| Estrategia | Actualizar Postiz a la versión parcheada que restrinja estrictamente el acceso a archivos fuera del directorio de subida. Mientras tanto, limitar o deshabilitar el registro automático para evitar que atacantes sin cuenta inicien el exploit. Monitorizar actividad inusual de adjuntos y tráfico saliente hacia servidores externos (p.ej., Discord) para detectar explotación activa. |
—
He insertado este registro en Supabase según los parámetros requeridos.
| CVE | CVE-2026-115557 |
| Severidad | CRÍTICA (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 25-oct-2026 |
| Vendor | Python Software Foundation |
| Producto | Módulo ssl de Python |
| Versiones | Todas las versiones afectadas que usan módulo ssl sin protección explícita ante certificados comprometidos |
| Exploit Públicos | Sí |
| Referencia | Openwall Advisory |
| Descripción | Python ha añadido una lista negra para certificados comprometidos conocidos al módulo «ssl» para garantizar la seguridad del usuario aunque no se configure la revocación de certificados. Los certificados comprometidos conocidos serán rechazados automáticamente independientemente de la configuración del SSLContext.
Esta vulnerabilidad radica en la posible aceptación previa de certificados comprometidos en conexiones SSL/TLS, lo que permitiría ataques de intermediario (MITM) y comprometer la confidencialidad y autenticidad de las comunicaciones. Aunque la mitigación ahora es automática con la denylist, las versiones previas pueden estar en riesgo elevado. |
| Estrategia | Actualizar inmediatamente Python a la versión que incluye esta denylist para certificados comprometidos. Auditar y reforzar la configuración SSL/TLS en todos los servicios para rechazar certificados inválidos o revocados. Monitorizar tráfico y logs para detectar posibles ataques MITM e implementar controles de inspección profunda de paquetes en la red. |
—
| CVE | CVE-2026-115933 |
| Severidad | CRITICAL (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 25 Octubre 2026, 04:30 UTC |
| Vendor | Postiz |
| Producto | Sistema de gestión de tokens de sesión, invitación y restablecimiento de contraseña |
| Versiones | No especificado – afecta al sistema antes de parche |
| Exploit Públicos | Sí |
| Referencia | PSA Advisory 2026-YT2HMH |
| Descripción | Postiz firma sus tokens de sesión, invitación y restablecimiento de contraseña con un único secreto compartido y sin identificar el tipo de token. Esto permite que un usuario malicioso cree un token firmado con cualquier contenido que el sistema acepte como válido, pudiendo ser sesión activa, invitación con rol asignado, restablecimiento de contraseña o token de provisión empresarial. Un segundo punto afectado es la firma de invitaciones a equipos, que igualmente están firmadas sin marcar adecuadamente. Esta vulnerabilidad permite a un atacante escalar privilegios y modificar roles o credenciales sin autorización. |
| Estrategia | Aplicar inmediatamente el parche oficial del fabricante que corrige la firma usando secretos distintos y distinguibles para cada tipo de token; revisar los mecanismos de validación de tokens para garantizar marcadores claros; revocar tokens comprometidos y monitorizar actividad anómala relacionada con sesiones e invitaciones. Priorizar esta acción dado que existen exploits públicos activos y el impacto es crítico para la seguridad de la plataforma y la empresa. |
—
*He procedido a registrar esta vulnerabilidad en la base de datos mediante Supabase con la información proporcionada.*
| CVE | CVE-2026-114820 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 25 octubre 2026, 04:30 (UTC) |
| Vendor | Oracle |
| Producto | Oracle Java SE, Oracle GraalVM para JDK, Oracle GraalVM Enterprise Edition |
| Versiones | Oracle Java SE: 8u511-b32, 8u511-perf-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2, 27.0.1.0.2; GraalVM para JDK: 17.0.21.0.2, 21.0.13.0.2; GraalVM Enterprise: 21.3.20.0.2 |
| Exploit Públicos | Sí |
| Referencia | Alerta de Seguridad Oracle CVE-2026-114820 |
| Descripción | Vulnerabilidad en Oracle Java SE, Oracle GraalVM para JDK y Oracle GraalVM Enterprise Edition (componente: JSSE). Las versiones afectadas incluyen múltiples versiones específicas de Oracle Java SE y GraalVM detalladas arriba. Esta vulnerabilidad, fácilmente explotable, permite a un atacante no autenticado con acceso a la red comprometer la confidencialidad e integridad de los datos accesibles mediante estos productos y puede resultar en creación, eliminación o modificación no autorizada de datos críticos. Se puede explotar usando las APIs en el componente afectado, por ejemplo a través de un servicio web que suministra datos a las APIs. También afecta a despliegues Java que ejecutan código no confiable en sandboxes, como Java Web Start o applets, que dependen del sandbox para su seguridad. |
| Estrategia | Aplicar inmediatamente los parches oficiales publicados por Oracle para las versiones afectadas. Revisar y reforzar controles de red para limitar accesos a servicios que utilizan Java con estas versiones. Monitorizar tráfico y registros para detectar posibles explotaciones activas. Considerar auditoría de aplicaciones que ejecuten código no confiable en sandboxes y evaluar alternativas o mitigaciones si la actualización inmediata no es factible. |
| CVE | CVE-2026-115995 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 25 Octubre 2026, 04:30 (UTC) |
| Vendor | Unitree Robotics |
| Producto | Unitree Go2 |
| Versiones | versiones hasta 1.1.11.4 inclusive |
| Exploit Públicos | Sí |
| Referencia | Parche oficial disponible |
| Descripción | Se ha detectado una vulnerabilidad de seguridad en Unitree Robotics Unitree Go2 hasta la versión 1.1.11.4. El fallo afecta a la función set_volume del archivo gpt_thread.py en el componente chat_go. La manipulación del argumento ‘Value’ permite la inyección de comandos en el sistema operativo (os command injection). El ataque puede realizarse de forma remota.
El proveedor confirmó internamente este problema bajo el ticket #474 y publicó un parche en la versión 1.1.11.5 que soluciona la vulnerabilidad. |
| Estrategia | Actualizar inmediatamente a la versión 1.1.11.5 o superior para eliminar esta vulnerabilidad crítica. Monitorizar accesos y comportamiento inusual en el componente afectado. Restringir interfaces expuestas para minimizar ataques remotos y validar estrictamente los parámetros recibidos para evitar injertos de comandos. |
—
*He insertado el registro en Supabase con los datos del CVE-2026-115995 para seguimiento.*
Enviar a un amigo:
